Yuk, Pasang CrowdSec di VPS: Satpam Komunitas Pengganti fail2ban

Halo Sobat Online!

Pernah iseng membuka /var/log/auth.log di VPS lalu menemukan ratusan baris Failed password for root? Tenang, itu bukan tanda server Anda sedang dibobol — itu tanda server Anda sedang diketuk bot dari seluruh dunia, setiap hari, tanpa henti. Yang bikin was-was: cukup satu percobaan yang lolos, dan urusan jadi panjang.

Di sinilah CrowdSec di VPS jadi relevan. Alat ini bukan cuma memblokir penyerang di server Anda sendiri, tapi ikut memakai “daftar orang nakal” hasil berbagi antar pengguna CrowdSec di seluruh dunia. Jadi kalau ada bot yang ketahuan menyerang server orang lain, IP-nya bisa langsung ditolak sebelum sempat menyentuh server Anda.

Artikel ini membahas langkah pasang CrowdSec di VPS Ubuntu/Debian dari nol: install, aktifkan bouncer, uji sampai bukti blokirnya kelihatan, plus cara memastikan IP Anda sendiri tidak ikut kena ban.

Apa Itu CrowdSec dan Kenapa Beda dari fail2ban?

Bayangkan komplek perumahan. fail2ban itu seperti satpam yang hanya membaca buku tamu di rumah Anda sendiri: kalau ada yang salah password berulang kali, dia coret namanya — tapi cuma di rumah Anda. Sementara CrowdSec seperti ronda antar-RT: ketika satu rumah dikerjain bot, semua rumah langsung dapat pengumuman, lengkap dengan ciri-cirinya.

Praktisnya ada tiga komponen yang perlu Anda kenal:

Security Engine — pembaca log dan mesin deteksi. Dia mengawasi log (SSH, Nginx, syslog) dan memutuskan IP mana yang berperilaku mencurigakan.
Remediation Component (bouncer) — eksekutor. Engine memutuskan, bouncer yang benar-benar memblokir: lewat firewall, lewat Nginx, lewat Traefik, atau lewat Cloudflare.
Console — dashboard opsional di app.crowdsec.net untuk memantau banyak server sekaligus.

Satu hal penting: Security Engine sendirian tidak memblokir apa pun. Tanpa bouncer, CrowdSec hanya mencatat. Banyak yang bingung di langkah ini, jadi kita pasang keduanya.

Versi yang Dipakai Artikel Ini

Per artikel ini ditulis, rilis stabil terbaru CrowdSec adalah v1.7.8 (v1.8 masih tahap pengembangan). Sejak v1.7, instalasi paket Debian/Ubuntu otomatis menjalankan deteksi layanan lewat perintah baru bernama cscli setup, jadi konfigurasi awal jauh lebih singkat dibanding versi lama.

Persiapan Sebelum Pasang CrowdSec di VPS

Sebelum mengetik perintah pertama, siapkan dulu tiga hal ini:

VPS Ubuntu 22.04/24.04 atau Debian 12 dengan akses sudo (root juga boleh).
Jalur darurat ke server. Pastikan Anda bisa masuk lewat console/VNC di panel provider VPS Anda. Semua alat anti-brute-force membawa risiko kecil: kalau salah setel, Anda bisa terkunci sendiri. Jalur darurat inilah pengamannya.
Akses SSH berbasis key, bukan password. Kalau belum, rapikan dulu seperti pada panduan amankan SSH VPS dari brute force. CrowdSec bekerja paling tenang ketika pintu SSH-nya sudah rapat.

Setelah itu, jangan lupa perbarui sistem:


sudo apt update && sudo apt upgrade -y

Langkah 1: Tambahkan Repositori Resmi CrowdSec

Paket CrowdSec tidak ada di repo bawaan Ubuntu, jadi tambahkan repositori resminya:


curl -s https://install.crowdsec.net | sudo sh
sudo apt update

Perintah di atas hanya menambahkan repositori dan kunci GPG resmi CrowdSec — belum memasang aplikasinya.

Langkah 2: Install Security Engine dan Biarkan Dia Mendeteksi Sendiri


sudo apt install crowdsec

Sejak versi 1.7, paket deb ini otomatis menjalankan cscli setup unattended saat instalasi. Artinya CrowdSec langsung menengok layanan apa saja yang jalan di VPS Anda (misalnya Nginx, sshd, syslog) dan menulis file akuisisi log-nya sendiri ke /etc/crowdsec/acquis.d/ dengan nama setup.<nama-layanan>.yaml.

Kalau ingin memilih sendiri layanan mana yang dipantau, gunakan mode interaktif:


sudo cscli setup interactive

Cek hasilnya:


sudo systemctl status crowdsec
sudo cscli collections list

Di daftar collection Anda akan melihat paket aturan seperti crowdsecurity/linux (aturan dasar sistem) dan crowdsecurity/nginx kalau Nginx terdeteksi. Collection adalah “kumpulan aturan siap pakai” — parser, skenario, dan postoverflow yang bisa diperbarui terpisah dari aplikasinya.

Langkah 3: Pasang Bouncer Firewall, Sang Eksekutor

Sekarang bagian yang mengubah catatan menjadi tindakan. Tentukan dulu sistem firewall VPS Anda:


iptables -V

Kalau output-nya menyebut nf_tables, pakai paket nftables. Kalau tidak, pakai iptables:


sudo apt install crowdsec-firewall-bouncer-nftables

# untuk sistem berbasis iptables
sudo apt install crowdsec-firewall-bouncer-iptables

Lalu verifikasi:


sudo systemctl status crowdsec-firewall-bouncer
sudo cscli bouncers list

Kalau cscli bouncers list menampilkan bouncer dengan status valid, artinya jalur komunikasi engine → bouncer sudah tersambung. Bouncer firewall ini bekerja di level kernel dan IP, jadi dia melindungi semua port sekaligus: SSH, database, SMTP, apa pun.

Langkah 4: Uji Coba, Jangan Percaya Sebelum Ada Bukti

Ini langkah yang biasanya dilewati, padahal paling penting. Mari buktikan blokirnya benar-benar jalan.

1. Lihat alert yang sudah masuk:


sudo cscli alerts list

2. Ban manual satu IP contoh (alamat 203.0.113.x memang disediakan untuk keperluan uji, jadi aman dipakai sebagai contoh):


sudo cscli decisions add --ip 203.0.113.45 --duration 5m --reason "uji coba"

3. Cek keputusan blokirnya:


sudo cscli decisions list

Anda akan melihat baris berisi IP tersebut dengan aksi ban dan sisa waktu kedaluwarsa.

4. Hapus kembali IP uji tadi:


sudo cscli decisions delete --ip 203.0.113.45

5. Terakhir, uji apakah log Anda terbaca dengan benar:


sudo cscli explain --file /var/log/auth.log --type syslog

Output-nya berupa pohon tahap parsing (s00-raw, s01-parse, s02-enrich). Kalau setiap tahap bertanda hijau, berarti log Anda dipahami CrowdSec dan skenario brute force di atasnya aktif. Enak, kan, ada bukti konkret alih-alih tebak-tebakan?

Jangan Sampai Anda Sendiri Ikut Diblokir: Allowlist IP

Pernah salah ketik password SSH tiga kali, lalu panik karena koneksi ditolak? Itu risiko nyata alat anti-brute-force. Solusinya allowlist: daftar IP yang tidak akan pernah diblokir, apa pun yang terjadi.


sudo cscli allowlist create admin-saya -d "IP rumah dan kantor"
sudo cscli allowlist add admin-saya 203.0.113.10
sudo cscli allowlist inspect admin-saya

Isi IP publik rumah, kantor, atau IP server monitoring Anda. Catatan dari dokumentasi resmi: untuk kebutuhan IP/CIDR seperti ini, allowlist adalah cara yang disarankan karena lebih mudah dikelola dan ikut memengaruhi daftar blokir yang ditarik CrowdSec. Whitelist parser di /etc/crowdsec/parsers/s02-enrich/ baru diperlukan untuk aturan berbasis ekspresi log yang rumit.

Kalau VPS Anda Juga Jadi Web Server: Bouncer Nginx

Bouncer firewall tadi bekerja di level IP dan port. Untuk serangan yang menyasar lapisan aplikasi (SQL injection, XSS, percobaan CVE), CrowdSec menyediakan bouncer khusus web server. Untuk Nginx:


sudo apt install nginx lua5.1 libnginx-mod-http-lua luarocks gettext-base lua-cjson
sudo apt install crowdsec-nginx-bouncer
sudo systemctl restart nginx

Bouncer Nginx ini berbasis Lua dan bisa ditingkatkan ke komponen AppSec (WAF) untuk virtual patching. Menurut dokumentasi CrowdSec, memasang keduanya berdampingan adalah pilihan yang wajar: firewall bouncer menjaga port infrastruktur, bouncer Nginx menjaga lalu lintas HTTP. Jadi pilih sesuai kebutuhan — kalau VPS Anda murni untuk SSH dan aplikasi internal, bouncer firewall saja sudah cukup.

Rutinitas Perawatan Setelah Terpasang

CrowdSec bukan alat “pasang lalu lupakan”. Sisihkan beberapa menit tiap bulan:

Perbarui koleksi aturan: sudo cscli hub update lalu sudo cscli hub upgrade.
Lihat statistik: sudo cscli metrics — di sini terlihat berapa baris log yang dibaca dan mana yang tidak terparsing.
Telusuri alert: sudo cscli alerts list, lalu bedah satu per satu dengan sudo cscli alerts inspect <id> -d untuk melihat IP, negara, dan halaman apa yang coba diakses.
Koreksi blokir yang salah: sudo cscli decisions delete --ip <IP>.
Pilih satu pemilik aturan untuk SSH. Kalau fail2ban Anda masih aktif, boleh saja keduanya jalan berdampingan, tapi untuk SSH sebaiknya tentukan satu saja agar aturan tidak dobel dan log tidak membingungkan saat diperiksa.

Kesimpulan

Pasang CrowdSec di VPS ternyata tidak jauh berbeda dengan memasang aplikasi lain: tambah repositori, install engine, pasang satu bouncer, lalu uji sampai terbukti memblokir. Bedanya, Anda tidak berjuang sendirian — reputasi IP penyerang datang dari komunitas, bukan cuma dari log server Anda sendiri.

Mulai malam ini: pasang security engine + bouncer firewall, aktifkan allowlist untuk IP Anda, lalu cek sudo cscli alerts list besok pagi. Melihat daftar bot yang gagal masuk itu rasanya memuaskan, sekaligus bikin Anda sadar betapa sibuknya VPS Anda saat Anda tidur. Selamat mencoba, Sobat Online!